JP2005018433A

JP2005018433A - Access history management system for electronic medical chart, electronic medical chart server, and electronic medical chart alteration history management server

Info

Publication number: JP2005018433A
Application number: JP2003182691A
Authority: JP
Inventors: Yasuhito Hayatsu; 泰人早津
Original assignee: Toshiba Corp; Toshiba Medical Systems Corp
Current assignee: Toshiba Corp; Canon Medical Systems Corp
Priority date: 2003-06-26
Filing date: 2003-06-26
Publication date: 2005-01-20

Abstract

<P>PROBLEM TO BE SOLVED: To improve the reliability of medical treatment by preventing a medical chart from being fraudulently altered. <P>SOLUTION: This access history management system is provided with: an electronic medical chart server, which is installed inside a medical facility and stores the medical charts recorded with information on patients; and an electronic medical chart alteration history manaement server, which is installed outside the medical facility, receives the notification of the registration of new medical charts in the electrical medical chart server or the reference of the electronic medical charts and/or the addition, alteration and deletion of the contents of the electronic medical charts through a network system and successively records each of the notified information. Thus, conditions of the alteration, reference or the like of the medical charts is clearly recorded, thereby preventing the medical chart from being fraudulently altered, and facilitating the cause unfolding of the medical accident to enhance the reliability of medical treatment. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、サーバーに保存されている電子カルテがアクセスされた履歴を管理するための電子カルテのアクセス履歴管理システムと、このシステムに利用される電子カルテサーバーおよび電子カルテ変更履歴管理サーバーに関する。
【０００２】
【従来の技術】
医療施設では、患者毎に当該患者に関する氏名、生年月日、性別などの個人情報をはじめとする、所見・検査・処置・処方などの医療情報をカルテに記載して保存しているが、近時、情報システムの進歩に伴い医療業務の合理化も推進され、従来紙に記載されていたカルテが電子化されるようになってきている。この患者に関する医療情報は電子カルテとしてサーバーに保存され、医療施設内のＬＡＮ（ｌｏｃａｌａｒｅａｎｅｔｗｏｒｋ）を介して担当医師により逐次所見・検査・処置・処方などの情報が追記され、或いは他の医師によって参照することが可能となる。従って、医療施設内において医療情報が共有されるというメリットが大きい反面、電子情報であるが故に、記載内容の変更（本明細書において記載内容の変更とは、例えば、記載内容の追加、削除および既に記載されている内容の修正等のことを言う。）などが容易であり、その痕跡も残すことがないので、悪意をもって電子カルテの記載内容が改ざんされるおそれを否定することはできなかった。カルテの記載内容が改ざんされたような場合には、医療過誤があったか否かの判断を困難とさせるとともに、医療過誤が起こったときの原因究明をも困難にさせるという危惧があり、医療への信頼性を損なうおそれがあった。
【０００３】
このような問題に対して、従来、電子カルテの記憶装置への登録時に、登録前に入力した診療情報の記憶領域を更新禁止領域として以降の改ざんを禁止し、更新禁止領域への新たな診療情報は、挿入（追記）のみを可能とし、かつ、追記したことを明確に表示するようにした電子カルテの入出力制御方法が知られていた（例えば、特許文献１参照。）。
また、診療画面において、入力された診療内容が時間的基準内であるか否かを判断し、基準外である場合は改ざんの可能性があるものとして、診療画面の診療内容と診療時に相当する個人ファイルの過去の診療内容とを照合し、両診療内容が一致しない場合に改ざんとみなして、両診療内容を個人ファイルに記憶させるとともに、改ざん前後の区別が分かるように記憶内容にフラグを付すようにした医療電子化システムも知られていた（例えば、特許文献２参照。）。
【０００４】
【特許文献１】
特開平４−３３３９７３号公報（第４頁、図１）
【特許文献２】
特開２００１−３０６６９６号公報（第３−４頁、図１、図５）
【０００５】
【発明が解決しようとする課題】
しかしながら、上記特許文献１に記載されたものは、診療情報を入力した電子カルテを記憶媒体に登録するときに、当該電子カルテに診療情報を入力した医師が自ら更新禁止領域に指定する操作をしなければならず、多忙な医師としてはその操作は煩わしく、診療行為を阻害するおそれがあった。また、ときとしてその操作を失念することもあり、そのときには改ざん防止機能を果すことができなくなるものであった。
また上記特許文献２に記載されたものは、診療内容の入力に関して、変更前の入力日時と変更後の入力日時との経過時間に基準時間を設定し、基準時間内に再度入力されたものは改ざんに相当しないと判断してその変更に何らの制限をせず、基準時間後に再度入力されたものについてのみ改ざんの可能性があるものとして、改ざんに対する措置を講じようとするものである。しかしながら、基準時間を短く設定すれば、当該医療電子化システムの正常な運用を阻害することとなり、逆に基準時間を長く設定すれば（例えば実施例のごとく２４時間から７２時間に設定したとしても）、その間に起こった医療ミスを隠蔽することが可能になるという不都合を生ずるものであった。
本発明は、このような不都合を解消するとともに、電子カルテの不正な改ざんを防止することのできる電子カルテのアクセス履歴管理システムと電子カルテサーバーおよび電子カルテ変更履歴管理サーバーを提供することにより、医療への信頼性を高めることを目的としてなされたものである。
【０００６】
【課題を解決するための手段】
上述の課題を解決するため、請求項１に記載の発明は、医療施設内に設置され、患者に関する医療情報が記載された電子カルテを保存する電子カルテサーバーと、この電子カルテサーバーに新規電子カルテを登録し、またはこの電子カルテサーバーに既に保存されている電子カルテを参照しおよび／または前記電子カルテの記載内容を変更したときに、その旨の通知を広域ネットワークを介して受け取り、通知された情報を逐次記録する前記医療施設外に設置された電子カルテ変更履歴管理サーバーとを具備することを特徴とする電子カルテのアクセス履歴管理システムである。
これにより、電子カルテの変更および参照などがされたその日時、実施者、内容などが電子カルテ変更履歴管理サーバーに明確に記録されるので、医療過誤の疑問が生じたような場合に、当該電子カルテの変更履歴を精査することによって、真偽を明確にすることができる。よって、電子カルテを改ざんすることが不可能となり、医療事故が起こった場合にその原因究明を容易にするとともに、再発防止への対策も十分なされるようにできるので、医療への信頼性を高めることができる。
また、請求項２に記載の発明は、請求項１に記載の電子カルテのアクセス履歴管理システムにおいて、前記電子カルテサーバーと前記電子カルテ変更履歴管理サーバーとの接続状態を確認する接続確認手段を備えたことを特徴とする。
これにより、電子カルテサーバーと電子カルテ変更履歴管理サーバーとの接続状態が確認できるので、電子カルテのアクセス履歴管理システムの信頼性をより向上することができ、医療への信頼性を高めることに寄与できる。
また、請求項３に記載の発明は、請求項１および請求項２のいずれか１項に記載の電子カルテのアクセス履歴管理システムにおいて、前記電子カルテ変更履歴管理サーバーは、前記電子カルテの記載内容を変更したときの差分データを保持することを特徴とする。
これにより、電子カルテ変更履歴管理サーバーは、元の電子カルテの記載内容に対して変更したときの差分データを保持するので、保存するデータ量を軽減しながら、初期状態から変更後のいかなる時点での記載内容をも復元して確認することができ、医療への信頼性向上により寄与することができる。
【０００７】
また、請求項４に記載の発明は、医療施設内に設置され、患者に関する医療情報が記載された電子カルテを保存する電子カルテサーバーにおいて、前記電子カルテの記載内容を変更するための操作手段と、この操作手段により電子カルテの記載内容が変更された際に、その変更に関する情報を広域ネットワークを介して前記医療施設外の電子カルテ変更履歴管理サーバーへ送信する送信手段とを備えたことを特徴とする。
これにより、電子カルテサーバーに保存される電子カルテの変更に関する情報が、電子カルテ変更履歴管理サーバーへ伝達され、変更履歴が明確化される。
【０００８】
また、請求項５に記載の発明は、医療施設外に設置された電子カルテ変更履歴管理サーバーであって、医療施設内の電子カルテサーバーから広域ネットワークを介して送られてきた電子カルテの変更に関する情報を受信する受信手段と、前記変更に関する情報を保存するデータベースと、前記広域ネットワークを介して送られてきた参照要求に応じて前記データベースに保存されている前記変更に関する情報を検索する検索手段と、この検索手段による検索結果を前記広域ネットワークを介して前記電子カルテサーバー又は参照端末へ送信する送信手段とを備えることを特徴とする。
これにより、電子カルテの変更に関する情報が明確に保存され、その情報の参照を容易にすることができる。
【０００９】
【発明の実施の形態】
以下、本発明に係る電子カルテのアクセス履歴管理システムについて、その一実施の形態を、図１ないし図６を参照して詳細に説明する。
図１は、本発明に係る電子カルテのアクセス履歴管理システムの、ネットワーク構成の概要を示したものである。例えば医療施設Ｒ（以下、Ｒ病院という。）には、患者に関する個人情報をはじめとする、所見・検査・処置・処方などの医療情報が記載された電子カルテを、全ての患者について所定期間にわたり保存するカルテデータベース１ＤＢを備えた電子カルテサーバー１Ｒと、医師Ａが電子カルテを作成したり、電子カルテサーバー１Ｒにアクセスしてそこに保存されている電子カルテを参照したり或いはその他の業務に使用したりするためのパソコン２Ｒと、同様に、医師Ｂおよび医師Ｃが使用するパソコン３Ｒ、４Ｒと、各医師が共通に使用できる例えばモバイル用のパソコン５Ｒなどが設けられており、電子カルテサーバー１Ｒと各パソコン２Ｒ、３Ｒ、４Ｒ、５Ｒは、病院内ＬＡＮ６Ｒに接続されている。さらに、別のＳ病院、Ｔ病院にも図示は省略するが同様に、電子カルテサーバーやパソコンが設置されていて、これらが病院内ＬＡＮにそれぞれ接続されている。なお、各病院に設置されるパソコンの数は問わない。
【００１０】
また、これらＲ病院、Ｓ病院、Ｔ病院に従属しない独立した施設に、電子カルテ変更履歴管理サーバー７が設置されている。この電子カルテ変更履歴管理サーバー７は、Ｒ病院、Ｓ病院、Ｔ病院に夫々設置されている電子カルテサーバー１Ｒ、１Ｓ、１Ｔに、広域ネットワーク８を介して接続されている。なお、電子カルテ変更履歴管理サーバー７は、病院毎の電子カルテサーバー１Ｒ、１Ｓ、１Ｔに、新規の電子カルテが登録され、またはこの電子カルテサーバー１Ｒ、１Ｓ、１Ｔに既に保存されている電子カルテが参照され、および／またはその電子カルテの記載内容が変更されたときに、電子カルテサーバー１Ｒ、１Ｓ、１Ｔから送信されるその旨の通知を、広域ネットワーク８を介して受け取り、通知された情報を逐次記録するものであり、電子カルテサーバー１Ｒ、１Ｓ、１Ｔから送信されて来た情報を受信するための受信手段（図示せず）や、各電子カルテの履歴情報をそれぞれ記録する履歴データベース７ＤＢを備えている。
【００１１】
次に、上記のように構成されている電子カルテのアクセス履歴管理システムの、動作の概要を、図２に示したフローチャートに基づき、Ｒ病院の電子カルテサーバー１Ｒを例として説明する。
例えば、ステップ１として、医師Ａがパソコン２Ｒを用いて患者Ｘの電子カルテを新規に作成したとする。この新規の電子カルテは、ステップ２として、医師Ａによって、パソコン２Ｒから病院内ＬＡＮ６Ｒを経由してＲ病院内に設置されている電子カルテサーバー１Ｒに登録される。この医師Ａにより新規に作成された患者Ｘの電子カルテが電子カルテサーバー１Ｒに登録されると、電子カルテサーバー１Ｒから新規作成通知が発せられ（ステップ３）、この通知は、広域ネットワーク８を介して、Ｒ病院外の施設に設置されている電子カルテ変更履歴管理サーバー７へ伝達され、そこに登録される（ステップ４）。
その後患者Ｘが経過などの診療を受けると、医師Ａがパソコン２Ｒを用いて患者Ｘの電子カルテを電子カルテサーバー１Ｒから読み出し、これに診療内容を追加記載したり、前回の記載内容を訂正したりする変更のための操作を施す（ステップ５）。この場合にも、当該電子カルテを電子カルテサーバー１Ｒに保存する操作を行うことになる（ステップ６）が、誰が何時当該電子カルテを読み出し、変更を行い、それの保存操作を行ったかが、電子カルテサーバー１Ｒから広域ネットワーク８を介して電子カルテ変更履歴管理サーバー７へ登録される（ステップ７）。
なおこのとき、電子カルテ変更履歴管理サーバー７には、元の電子カルテに対して変更したときの差分データが登録されるので、変更前および変更後のいかなる時点での、電子カルテの記載内容をも出力することが可能である。
【００１２】
また、電子カルテの記載内容についての変更に限らず、患者Ｘの担当ではない医師Ｂが、患者Ｘの電子カルテを参照するために電子カルテサーバー１Ｒから読み出すことは可能であり、この場合も、誰が何時患者Ｘの電子カルテを読み出したかという情報が、電子カルテサーバー１Ｒから送信され、これが広域ネットワーク８を介して電子カルテ変更履歴管理サーバー７で受信されて登録される。さらに、モバイル用のパソコン５Ｒを用いて変更や参照などを行った場合にも、ログイン名がパソコン５Ｒから電子カルテサーバー１Ｒへ通知されるので、この場合にも誰が何時患者Ｘの電子カルテを読み出し、変更し、参照したかが電子カルテ変更履歴管理サーバー７に登録され、変更がなされればその差分データが登録されることになる。
なお、上記のようなシステムにあっては、電子カルテサーバー１Ｒと電子カルテ変更履歴管理サーバー７とが常時接続されていることが保証されていなければならない。すなわち、両者が切断されているときに、電子カルテへの変更や参照などが行われても、そのことが記録されないことになる。また、両者が切断されているときに、病院内の電子カルテサーバー１Ｒの機能が停止することも避けなければならない。
そのため、電子カルテ変更履歴管理サーバー７に、接続先である各病院の電子カルテサーバー１Ｒ、１Ｓ、１Ｔを登録しておき、ランダムなタイミングで電子カルテ変更履歴管理サーバー７から接続確認通知を送信し、各病院の電子カルテサーバー１Ｒ、１Ｓ、１Ｔからそれに対するレスポンスを受けるようにする。このようにすることにより、各病院の電子カルテサーバー１Ｒ、１Ｓ、１Ｔにおいて、電子カルテがローカルに変更および参照などされなかったことが保証される。
【００１３】
以上が本発明に係る電子カルテのアクセス履歴管理システムの概要であるが、次に、より具体的な実施の形態について、図３ないし図６を参照して説明する。なおここでも、Ｒ病院の電子カルテサーバー１Ｒを例として説明する。
図３は、電子カルテサーバー１Ｒに登録される電子カルテの書式の一例を示したものである。この電子カルテには、（ａ）診療年月日、（ｂ）担当医師名、（ｃ）カルテ番号、（ｄ）患者情報（氏名／ＩＤ／性別／生年月日など）、（ｅ）問診・主訴、（ｆ）バイタル（身長／体重／体温／血圧など）、（ｇ）所見、（ｈ）処置、（ｉ）検査、（ｊ）処方（投薬名、量、服用指示など）などを記載する欄が設けられている。
この電子カルテは、通常担当医師Ａが担当医師Ａ専用のパソコン２Ｒを用いて作成することになり、作成した後この電子カルテを電子カルテサーバー１Ｒへ登録する操作を行う。この電子カルテの登録に当って、パソコン２Ｒから電子カルテサーバー１Ｒへ、図４に示すようなログイン情報すなわち、（ａ）ログイン年月日、（ｂ）ログイン者氏名（医師Ａのアカウント）、（ｃ）接続開始時間、（ｄ）接続終了時間などが送信される。
【００１４】
図５は、電子カルテ変更履歴管理サーバー７に記録される項目を示したものであり、日付別、カルテ番号別に、カルテの新規作成、変更、参照等に関する各種の情報が記録されるものである。
すなわち、例えば２００３年４月１日に、（ａ）カルテ番号１２３４５６に変更などがあり、これが登録されたものとする。この登録情報には、（ａ）カルテ番号、（ｂ）患者情報（氏名／ＩＤ／性別／生年月日など）、（ｃ）診療年月日、（ｄ）担当医師名（診療医師、治療医師、画像読影医師など・・（ｄ早ｊ参照。）、（ｅ）新規／変更／参照等を行った医師名（この場合は追加・変更・削除等の各欄にその医師名・・（ｅ秩ｊ参照。）、（ｆ）元の記述内容、（ｇ）変更の内容、（ｈ）アクセス開始時間・終了時間などが記録される。さらに、同一患者が２００３年５月１日に再診を受けたことにより、カルテに変更がされれば、同様にして、２００３年５月１日に変更のあったことが記録され、その後２００３年６月２日に医師Ｂによってカルテ番号１２３４５６のカルテが参照されたとすると、２００３年６月２日の日付で、参照者医師Ｂとして記録が残ることになる。勿論、参照のために電子カルテをアクセスしたときには、記述内容を変更しようとしても、その行為はシステム上拒否されるようになっている。
【００１５】
図６は、上記のような本発明に係る電子カルテのアクセス履歴管理システムの運用時におけるタイムシーケンスを示したものであり、この図を参照して各種の運用時の動作をさらに説明する。
先ず、医師Ａが新規患者Ｘを最初に診察する場合について説明する。
この場合は、ステップ１１として、医師Ａは自分用のパソコン２Ｒから広域ネットワーク８を介して電子カルテサーバー１Ｒへログインし、電子カルテサーバー１Ｒからの応答をパソコン２Ｒで受ける（ステップ１２）。次に、ステップ１３として医師Ａは患者Ｘを選択する操作を行い、診療前の受付処理で既に入力されている患者Ｘに関する患者情報などを、電子カルテサーバー１Ｒからパソコン２Ｒに読み込む（ステップ１４）。そこで、診療結果としての所見、処置、検査、処方などを入力し、登録操作を行う（ステップ１５）。その結果、患者Ｘの電子カルテが電子カルテサーバー１Ｒのカルテデータベース１ＤＢに書き込まれる（ステップ１６）。その後医師Ａがログアウト操作をし（ステップ１７）、電子カルテサーバー１Ｒから応答を受ければ（ステップ１８）、パソコン２Ｒと電子カルテサーバー１Ｒとの接続は切断され、患者Ｘに関する新規電子カルテの作成が終了する。ただしことのき、電子カルテサーバー１Ｒから広域ネットワーク８を介して電子カルテ変更履歴管理サーバー７へ、患者Ｘの電子カルテが新規に作成されたことが通知され、その内容が履歴データベース７ＤＢに書き込まれる（ステップ１９）。
【００１６】
次に、患者Ｘの電子カルテの内容を変更する場合の動作について説明する。
この場合の運用も基本的には新規作成時と同様であり、ステップ１１、１２でのログインに続いてステップ１３、１４により電子カルテサーバー１Ｒへ参照要求を送信して、電子カルテサーバー１Ｒから当該患者の電子カルテを読み出し、ステップ１５で変更を行う。そして、この変更の内容はステップ１６として電子カルテサーバー１Ｒのカルテデータベース１ＤＢに書き込まれる。ただし、単に変更の結果が元の電子カルテに上書保存されるのではなく、元の電子カルテに対し変更された差の分が保存される。よって、元の電子カルテの内容はそのまま残り、どこがどのように変更されたのかが明らかとなる。また。ステップ１７、１８としてログアウト操作をすることにより、ステップ１９として、患者Ｘの電子カルテに対して誰が、何時、どのような変更を行ったのかが電子カルテサーバー１Ｒから広域ネットワーク８を介して電子カルテ変更履歴管理サーバー７へ通知され、その内容が履歴データベース７ＤＢに書き込まれる。
【００１７】
さらに、他の医師例えば医師Ｂによって患者Ｘの電子カルテが参照された場合の動作について説明する。
この場合の運用も基本的には先の新規作成時または変更時と同様であり、ステップ１１、１２でのログインに続いてステップ１３、１４により電子カルテサーバー１Ｒから当該患者の電子カルテを読み出して、その内容を参照する。しかし、ステップ１５での変更はシステムとして実施できないようにロックされており、従ってステップ１６として電子カルテサーバー１Ｒのカルテデータベース１ＤＢへの書き込みも行われない。そして、参照を終えてステップ１７、１８としてログアウト操作をすることにより、ステップ１９として、患者Ｘの電子カルテに対して誰が、何時、参照を行ったのかが電子カルテサーバー１Ｒから電子カルテ変更履歴管理サーバー７へ通知され、その内容が履歴データベース７ＤＢに書き込まれる。
なお、電子カルテサーバー１Ｒと電子カルテ変更履歴管理サーバー７とが常時接続状態にあることを保証するために、ステップ２１として、ランダムなタイミングで電子カルテ変更履歴管理サーバー７から電子カルテサーバー１Ｒへ接続確認通知を送信する。そして、電子カルテサーバー１Ｒがその通知を受けて、それに対するレスポンスをステップ２２として電子カルテ変更履歴管理サーバー７へ送信して、これを電子カルテ変更履歴管理サーバー７が受けとれば、電子カルテサーバー１Ｒと電子カルテ変更履歴管理サーバー７とが接続状態にあることが確認される。
この接続状態の確認は、例えば１時間毎に実施するものとし、それを実施した時間と結果についても逐一電子カルテ変更履歴管理サーバー７の履歴データベース７ＤＢに書き込み保存する。何らかの事情によって、接続確認通知を送信しても、それに対するレスポンスが電子カルテ変更履歴管理サーバー７に所定時間内に届かないことも予想される。そのようなときは、接続確認ができなかったとして、そのことを履歴データベース７ＤＢに書き込み保存する。
このようにすることにより、電子カルテサーバー１Ｒと電子カルテ変更履歴管理サーバー７とが接続状態にあることが保証され、その間における電子カルテへの変更および参照などの日時、実施者、内容などが履歴データベース７ＤＢに明確に記録されるので、医療過誤の疑問が生じたような場合に、当該電子カルテの変更履歴を精査することによって、真偽を明確にすることができ、医療への信頼性を高めることができる。
【００１８】
ところで、電子カルテ変更履歴管理サーバー７の履歴データベース７ＤＢに記録される内容を確認するためには、カルテ管理者ＡＤを指定してそのアカウントを登録しておくことが必要となる。よって認証されたカルテ管理者ＡＤが履歴データベース７ＤＢにアクセスする場合は、ステップ３１として先ずカルテ管理者ＡＤが、自身のパソコン（参照端末）から電子カルテサーバー１Ｒにログインして応答を受け（ステップ３２）、ステップ３３として履歴問い合わせを発することにより、そのことが電子カルテサーバー１Ｒから広域ネットワーク８を介して電子カルテ変更履歴管理サーバー７へ伝達され、この参照要求に応じて、電子カルテ変更履歴管理サーバー７が有する検索機能が作動して、履歴データベース７ＤＢから指定された患者の電子カルテの変更履歴が検索される。そして検索結果が逆ルートでカルテ管理者ＡＤのパソコンへ伝達され、その内容が画面に表示されることになる（ステップ３４）。なおこの場合も、システム上参照のみが許可され、変更は許されないこととなる。さらに履歴問い合わせを終了したときは、ステップ３６、３７としてログアウト操作をすることになる。
【００１９】
【発明の効果】
以上詳細に説明したように、請求項１に記載した発明によれば、電子カルテへの変更および参照などの日時、実施者、内容などが履歴データベースに明確に記録されるので、医療過誤の疑問が生じたような場合に、当該電子カルテの変更履歴を精査することによって、真偽を明確にすることができる。よって、電子カルテを改ざんすることが不可能となり、医療事故が起こった場合にその原因究明を容易にするとともに、再発防止への対策も十分なされるようにできるので、医療への信頼性を高めることができる。
また、請求項２に記載した発明によれば、電子カルテサーバーと電子カルテ変更履歴管理サーバーとの接続状態が確認できるので、電子カルテのアクセス履歴管理システムの信頼性をより向上することができ、医療への信頼性を高めることに寄与できる。
また、請求項３に記載した発明によれば、電子カルテ変更履歴管理サーバーは、電子カルテの記載内容を変更したときの差分データを保持するので、保存するデータ量を軽減しながら、初期状態から変更後のいかなる時点での記載内容をも復元して確認することができ、医療への信頼性向上により寄与することができる。
【００２０】
さらに、請求項４に記載した発明によれば、電子カルテサーバーに保存される電子カルテの変更に関する情報が、電子カルテ変更履歴管理サーバーへ伝達され、変更履歴を明確化することのできる電子カルテサーバーが提供され、請求項５に記載した発明によれば、電子カルテの変更に関する情報が明確に保存され、その情報の参照を容易にすることのできる電子カルテ変更履歴管理サーバーが提供される。
【図面の簡単な説明】
【図１】本発明に係る電子カルテのアクセス履歴管理システムの、一実施形態のネットワーク構成の概要を示した説明図である。
【図２】本発明に係る電子カルテのアクセス履歴管理システムの、一実施形態の動作の概要を説明するために示したフローチャートである。
【図３】電子カルテサーバーに登録される電子カルテの書式の一実施形態を示した説明図である。
【図４】ログイン情報の一実施形態を示した説明図である。
【図５】電子カルテ変更履歴管理サーバーに記録される項目の一例を示した説明図である。
【図６】本発明に係る電子カルテのアクセス履歴管理システムの運用時におけるタイムシーケンスの一例を示した説明図である。
【符号の説明】
１ＤＢカルテデータベース
１Ｒ、１Ｓ、１Ｔ電子カルテサーバー
２Ｒ〜５Ｒパソコン
６Ｒ病院内ＬＡＮ
７電子カルテ変更履歴管理サーバー
７ＤＢ履歴データベース
８広域ネットワーク[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an electronic medical record access history management system for managing an access history of an electronic medical record stored in a server, and an electronic medical record server and an electronic medical record change history management server used in this system.
[0002]
[Prior art]
At medical facilities, medical information such as findings, examinations, treatments, prescriptions, etc., including personal information such as name, date of birth, and gender, is stored in medical records for each patient. At the same time, with the advancement of information systems, the rationalization of medical services has been promoted, and medical records previously written on paper have been digitized. Medical information about this patient is stored on the server as an electronic medical record, and information such as findings, examinations, treatments, prescriptions, etc. are sequentially added by the doctor in charge via a LAN (local area network) in the medical facility, or by other doctors It becomes possible to refer to it. Therefore, while the merit that medical information is shared in a medical facility is great, since it is electronic information, the description content is changed (the description content change in this specification is, for example, addition, deletion, and It is easy to modify the contents already described, etc.), and there is no trace of it, so we could not deny the possibility that the contents of the electronic medical record could be tampered with maliciously. . If the description in the medical record is altered, it may be difficult to determine whether or not a medical error has occurred, and it may be difficult to determine the cause of the medical error. There was a risk of impairing reliability.
[0003]
To deal with such problems, conventionally, when registering electronic medical records in a storage device, the storage area of medical information input before registration is set as an update prohibition area, and subsequent alterations are prohibited, and new medical care is added to the update prohibition area. There has been known an input / output control method for an electronic medical record that allows only insertion (additional writing) of information and clearly displays the addition (see, for example, Patent Document 1).
In addition, it is determined whether or not the input medical content is within the time standard on the medical screen, and if it is out of the standard, it may be tampered with. Compare past medical contents of personal file, if both medical contents do not match, consider as falsification, store both medical contents in personal file, and flag stored contents so that distinction before and after falsification can be seen The medical electronic system which did it was also known (for example, refer patent document 2).
[0004]
[Patent Document 1]
JP-A-4-333973 (page 4, FIG. 1)
[Patent Document 2]
JP 2001-306696 A (page 3-4, FIGS. 1 and 5)
[0005]
[Problems to be solved by the invention]
However, in Patent Document 1, when an electronic medical record in which medical information is input is registered in a storage medium, a doctor who has input the medical information into the electronic medical record performs an operation of designating itself as an update prohibition area. As a busy doctor, the operation is cumbersome and there is a risk of obstructing medical practice. Also, sometimes the operation is forgotten, and at that time, the function to prevent tampering cannot be performed.
In addition, as described in the above-mentioned patent document 2, regarding the input of medical treatment contents, a reference time is set for the elapsed time between the input date before change and the input date after change, and the input is again within the reference time. It is determined that it is not equivalent to falsification, and no limitation is imposed on the change, and it is intended to take measures against falsification, assuming that there is a possibility of falsification only for those re-input after the reference time. However, if the reference time is set short, the normal operation of the medical electronic system will be hindered. Conversely, if the reference time is set long (for example, even if it is set from 24 hours to 72 hours as in the embodiment) ), Which caused the inconvenience of being able to conceal medical errors that occurred during that time.
The present invention provides an electronic medical record access history management system, an electronic medical record server, and an electronic medical record change history management server that can eliminate such inconveniences and prevent unauthorized tampering of the electronic medical record. It was made for the purpose of improving the reliability of
[0006]
[Means for Solving the Problems]
In order to solve the above-mentioned problems, an invention described in claim 1 is an electronic medical record server that is installed in a medical facility and stores an electronic medical record in which medical information related to a patient is described, and a new electronic medical record server in the electronic medical record server. Is registered, or when the electronic medical record already stored in this electronic medical record server is referenced and / or the description of the electronic medical record is changed, a notification to that effect is received via the wide area network and notified. An electronic medical record change history management system comprising an electronic medical record change history management server installed outside the medical facility for sequentially recording information.
As a result, the date, implementer, contents, etc., of the change and reference of the electronic medical record are clearly recorded in the electronic medical record change history management server. By examining the history of changes in the chart, it is possible to clarify the truth. Therefore, it is impossible to tamper with electronic medical records, and if a medical accident occurs, it will be easier to investigate the cause and sufficient measures will be taken to prevent recurrence, thus improving medical reliability. be able to.
Further, the invention according to claim 2 is the electronic medical record access history management system according to claim 1, further comprising connection confirmation means for confirming a connection state between the electronic medical record server and the electronic medical record change history management server. It is characterized by that.
As a result, the connection status between the electronic medical record server and the electronic medical record change history management server can be confirmed, which can further improve the reliability of the electronic medical record access history management system and contribute to the improvement of medical reliability. it can.
The invention described in claim 3 is the electronic medical record access history management system according to any one of claim 1 and claim 2, wherein the electronic medical record change history management server includes the description of the electronic medical record. It is characterized in that the difference data when the value is changed is held.
As a result, the electronic medical record change history management server retains the difference data when the contents described in the original electronic medical record are changed, so at any time after the change from the initial state while reducing the amount of data to be saved. Can be restored and confirmed, which can contribute to improving the reliability of medical treatment.
[0007]
According to a fourth aspect of the present invention, there is provided an electronic medical record server that is installed in a medical facility and stores an electronic medical record in which medical information relating to a patient is stored. And a transmission means for transmitting information related to the change to the electronic medical record change history management server outside the medical facility via the wide area network when the description content of the electronic medical record is changed by the operation means. And
Thereby, the information regarding the change of the electronic medical record stored in the electronic medical record server is transmitted to the electronic medical record change history management server, and the change history is clarified.
[0008]
The invention described in claim 5 is an electronic medical record change history management server installed outside the medical facility, and relates to a change of the electronic medical record sent from the electronic medical record server in the medical facility via a wide area network. Receiving means for receiving information; database for storing information relating to the change; search means for searching for information relating to the change stored in the database in response to a reference request sent via the wide area network; And transmitting means for transmitting the search result by the search means to the electronic medical record server or the reference terminal via the wide area network.
Thereby, the information regarding the change of the electronic medical record is clearly stored, and the information can be easily referred to.
[0009]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, an embodiment of an access record management system for electronic medical records according to the present invention will be described in detail with reference to FIGS.
FIG. 1 shows an outline of a network configuration of an electronic medical record access history management system according to the present invention. For example, in medical facility R (hereinafter referred to as R Hospital), electronic medical records containing medical information such as findings, examinations, treatments, prescriptions, etc., including personal information about patients, are kept for a predetermined period of time for all patients. Electronic medical record server 1R equipped with a medical record database 1DB to be stored, and doctor A creates an electronic medical record, accesses the electronic medical record server 1R, refers to the electronic medical record stored there, and is used for other operations A personal computer 2R for doctors and personal computers 3R and 4R used by doctors B and C, and a mobile personal computer 5R that can be commonly used by doctors, for example. The personal computers 2R, 3R, 4R, and 5R are connected to the in-hospital LAN 6R. Further, although not shown in other hospitals S and T, similarly, an electronic medical record server and a personal computer are installed, and these are respectively connected to a hospital LAN. The number of personal computers installed in each hospital is not limited.
[0010]
An electronic medical record change history management server 7 is installed in an independent facility that is not subordinate to the R hospital, S hospital, and T hospital. The electronic medical record change history management server 7 is connected to the electronic medical record servers 1R, 1S, and 1T respectively installed in the R hospital, the S hospital, and the T hospital via the wide area network 8. The electronic medical record change history management server 7 registers a new electronic medical record in the electronic medical record servers 1R, 1S, and 1T for each hospital, or has already been stored in the electronic medical record servers 1R, 1S, and 1T. Is received from the electronic medical record servers 1R, 1S, and 1T via the wide area network 8 and the notified information is transmitted. Are sequentially recorded, receiving means (not shown) for receiving information transmitted from the electronic medical record servers 1R, 1S, and 1T, and a history database 7DB for recording history information of each electronic medical record, respectively. It has.
[0011]
Next, an outline of the operation of the electronic medical record access history management system configured as described above will be described using the electronic medical record server 1R of R hospital as an example based on the flowchart shown in FIG.
For example, suppose that doctor A newly created an electronic medical record of patient X using personal computer 2R as step 1. In Step 2, the new electronic medical record is registered by the doctor A in the electronic medical record server 1R installed in the R hospital from the personal computer 2R via the in-hospital LAN 6R. When the electronic medical record of the patient X newly created by the doctor A is registered in the electronic medical record server 1R, a new creation notification is issued from the electronic medical record server 1R (step 3), and this notification is sent via the wide area network 8. Then, it is transmitted to the electronic medical record change history management server 7 installed in the facility outside the hospital R and registered there (step 4).
Thereafter, when patient X receives medical treatment such as progress, doctor A reads the medical record of patient X from electronic medical record server 1R using personal computer 2R, and additionally describes the medical treatment contents or corrects the previous written content. The operation for the change to be performed is performed (step 5). In this case as well, an operation for saving the electronic medical record in the electronic medical record server 1R is performed (step 6). However, it is determined whether the electronic medical record was read, changed, and stored. It is registered from the server 1R to the electronic medical record change history management server 7 via the wide area network 8 (step 7).
At this time, since the difference data when the original electronic medical record is changed is registered in the electronic medical record change history management server 7, the description contents of the electronic medical record at any time before and after the change are registered. Can also be output.
[0012]
In addition to the change in the description of the electronic medical record, the doctor B who is not in charge of the patient X can read from the electronic medical record server 1R in order to refer to the electronic medical record of the patient X. Information indicating who has read the patient's X electronic medical record is transmitted from the electronic medical record server 1R, and is received and registered by the electronic medical record change history management server 7 via the wide area network 8. In addition, when a change or reference is made using the mobile personal computer 5R, the login name is notified from the personal computer 5R to the electronic medical record server 1R. The change or reference is registered in the electronic medical record change history management server 7, and if the change is made, the difference data is registered.
In the system as described above, it is necessary to ensure that the electronic medical record server 1R and the electronic medical record change history management server 7 are always connected. That is, even if the electronic chart is changed or referred to when both are disconnected, this is not recorded. Also, it must be avoided that the function of the electronic medical record server 1R in the hospital stops when both are disconnected.
Therefore, the electronic medical record change management server 7 registers the electronic medical record servers 1R, 1S, and 1T of each hospital as a connection destination, and transmits a connection confirmation notification from the electronic medical record change history management server 7 at random timing. , And receive responses from the electronic medical record servers 1R, 1S, and 1T of each hospital. By doing so, it is ensured that the electronic medical record server 1R, 1S, 1T of each hospital has not been changed or referred to locally.
[0013]
The above is the outline of the electronic medical record access history management system according to the present invention. Next, more specific embodiments will be described with reference to FIGS. Here, the electronic medical record server 1R of R hospital will be described as an example.
FIG. 3 shows an example of the format of the electronic medical record registered in the electronic medical record server 1R. This electronic medical record includes (a) date of medical treatment, (b) name of doctor in charge, (c) medical record number, (d) patient information (name / ID / gender / date of birth, etc.), (e) Main complaint, (f) Vital (height / weight / body temperature / blood pressure, etc.), (g) Findings, (h) Treatment, (i) Examination, (j) Prescription (Dosage name, amount, instructions for taking, etc.) A column is provided.
This electronic medical record is usually created by the doctor A in charge using the personal computer 2R dedicated to the doctor A in charge, and after creation, the electronic medical record is registered in the electronic medical record server 1R. In the registration of the electronic medical record, login information as shown in FIG. 4 from the personal computer 2R to the electronic medical record server 1R, that is, (a) login date, (b) name of the login user (doctor A's account), ( c) Connection start time, (d) connection end time, etc. are transmitted.
[0014]
FIG. 5 shows items recorded in the electronic medical record change history management server 7, in which various information relating to new creation, change, reference, etc. of medical records is recorded by date and medical record number. .
That is, for example, on April 1, 2003, it is assumed that (a) the chart number 123456 is changed and this is registered. This registration information includes (a) medical record number, (b) patient information (name / ID / gender / date of birth, etc.), (c) date of medical treatment, (d) name of doctor in charge (clinician, treating physician) , Image interpretation doctors, etc. (see d early j), (e) name of doctor who made new / change / reference etc. (in this case, the name of the doctor in each column of addition / change / delete etc. (See Chichi j.), (F) Original description content, (g) Change content, (h) Access start / end time, etc. Furthermore, the same patient revisited on May 1, 2003 In the same way, if a change is made to the medical record, it is recorded that the change was made on May 1, 2003, and then, on June 2, 2003, a medical record with a medical record number 123456 was recorded by Doctor B. Is referred to as the referring physician B on the date of June 2, 2003. It becomes Rukoto. Of course, when you access the electronic medical record for reference, If you try to change the description contents, the act is designed to be rejected on the system.
[0015]
FIG. 6 shows a time sequence at the time of operation of the electronic medical record access history management system according to the present invention as described above, and operations during various operations will be further described with reference to this figure.
First, a case where the doctor A first examines a new patient X will be described.
In this case, as step 11, the doctor A logs in to the electronic medical record server 1R from the personal computer 2R through the wide area network 8, and receives a response from the electronic medical record server 1R by the personal computer 2R (step 12). Next, in step 13, the doctor A performs an operation of selecting the patient X, and reads patient information regarding the patient X already input in the reception process before medical treatment from the electronic medical record server 1R to the personal computer 2R (step 14). . Accordingly, findings, treatments, examinations, prescriptions, and the like as medical results are input and a registration operation is performed (step 15). As a result, the electronic medical record of the patient X is written in the medical record database 1DB of the electronic medical record server 1R (step 16). Thereafter, when the doctor A performs a logout operation (step 17) and receives a response from the electronic medical record server 1R (step 18), the connection between the personal computer 2R and the electronic medical record server 1R is disconnected, and a new electronic medical record relating to the patient X is created. finish. However, the electronic medical record server 1R notifies the electronic medical record change history management server 7 via the wide area network 8 that the electronic medical record of the patient X has been newly created, and the contents are written in the historical database 7DB. (Step 19).
[0016]
Next, an operation for changing the contents of the electronic medical record of the patient X will be described.
The operation in this case is basically the same as that at the time of new creation. Following the login in steps 11 and 12, a reference request is transmitted to the electronic medical record server 1R in steps 13 and 14, and the electronic medical record server 1R The patient's electronic medical record is read and changed in step 15. The contents of this change are written in the medical record database 1DB of the electronic medical record server 1R as step 16. However, the result of the change is not simply overwritten and saved in the original electronic medical record, but the changed difference is saved with respect to the original electronic medical record. Therefore, the contents of the original electronic medical record remain as it is, and it is clear where and how the information has been changed. Also. By performing a logout operation as Steps 17 and 18, as Step 19, it is determined who changed what time and what to the electronic medical record of the patient X from the electronic medical record server 1R via the wide area network 8. The change history management server 7 is notified and the contents are written in the history database 7DB.
[0017]
Furthermore, an operation when the electronic chart of patient X is referred to by another doctor, for example, doctor B will be described.
The operation in this case is basically the same as that at the time of new creation or change, and after the login in steps 11 and 12, the electronic medical record of the patient is read from the electronic medical record server 1R by steps 13 and 14. , Refer to its contents. However, the change in step 15 is locked so that it cannot be implemented as a system. Therefore, in step 16, writing to the medical record database 1DB of the electronic medical record server 1R is not performed. Then, by performing logout operation as Steps 17 and 18 after finishing the reference, as Step 19, the electronic medical record change history management is performed from the electronic medical record server 1R as to who and what was referred to the electronic medical record of the patient X. The server 7 is notified and the contents are written in the history database 7DB.
In order to ensure that the electronic medical record server 1R and the electronic medical record change history management server 7 are always connected, in step 21, the electronic medical record change history management server 7 is connected to the electronic medical record server 1R at random timing. Send a confirmation notification. The electronic medical record server 1R receives the notification and transmits a response to the notification as step 22 to the electronic medical record change history management server 7. If the electronic medical record change history management server 7 receives it, the electronic medical record server 1R And the electronic medical record change history management server 7 are confirmed to be connected.
The confirmation of the connection state is performed, for example, every hour, and the time and result of the confirmation are written and stored in the history database 7DB of the electronic medical record change history management server 7 one by one. For some reason, even if a connection confirmation notification is transmitted, it is expected that a response to the notification will not reach the electronic medical record change history management server 7 within a predetermined time. In such a case, it is determined that the connection could not be confirmed, and this is written and stored in the history database 7DB.
By doing so, it is guaranteed that the electronic medical record server 1R and the electronic medical record change history management server 7 are in a connected state, and the date, implementer, contents, etc. of changes and references to the electronic medical record in the meantime are recorded Since it is clearly recorded in the database 7DB, it is possible to clarify the authenticity by examining the change history of the electronic medical record when there is a question of medical malpractice. Can be increased.
[0018]
By the way, in order to confirm the contents recorded in the history database 7DB of the electronic medical record change history management server 7, it is necessary to designate the medical chart administrator AD and register the account. Therefore, if the authenticated medical chart administrator AD accesses the history database 7DB, as step 31, first, the medical chart administrator AD logs in to the electronic medical record server 1R from his personal computer (reference terminal) and receives a response (step 32). ) By issuing a history inquiry as step 33, this is transmitted from the electronic medical record server 1R to the electronic medical record change history management server 7 via the wide area network 8, and in response to this reference request, the electronic medical record change history management server 7, the search function of the patient's electronic medical record designated from the history database 7DB is searched. Then, the search result is transmitted to the personal computer of the medical chart manager AD by the reverse route, and the contents are displayed on the screen (step 34). In this case, only the reference on the system is permitted, and the change is not permitted. Further, when the history inquiry is completed, a logout operation is performed as steps 36 and 37.
[0019]
【The invention's effect】
As described above in detail, according to the invention described in claim 1, the date and time of the change and reference to the electronic medical record, the practitioner, the contents, etc. are clearly recorded in the history database. In such a case, the authenticity can be clarified by examining the change history of the electronic medical record. Therefore, it is impossible to tamper with electronic medical records, and if a medical accident occurs, it will be easier to investigate the cause and sufficient measures will be taken to prevent recurrence, thus improving medical reliability. be able to.
According to the invention described in claim 2, since the connection state between the electronic medical record server and the electronic medical record change history management server can be confirmed, the reliability of the access history management system of the electronic medical record can be further improved. This can contribute to improving the reliability of medical care.
According to the invention described in claim 3, since the electronic medical record change history management server retains the difference data when the description content of the electronic medical record is changed, the data amount to be saved can be reduced from the initial state. The description at any time after the change can be restored and confirmed, which can contribute to the improvement of medical reliability.
[0020]
Furthermore, according to the invention described in claim 4, an electronic medical record server in which information related to changes in the electronic medical record stored in the electronic medical record server is transmitted to the electronic medical record change history management server and the change history can be clarified. According to the invention described in claim 5, there is provided an electronic medical record change history management server in which information relating to changes in the electronic medical record is clearly stored and the information can be easily referred to.
[Brief description of the drawings]
FIG. 1 is an explanatory diagram showing an outline of a network configuration of an embodiment of an electronic medical record access history management system according to the present invention;
FIG. 2 is a flowchart shown for explaining the outline of the operation of the embodiment of the electronic medical record access history management system according to the present invention;
FIG. 3 is an explanatory diagram showing an embodiment of an electronic medical record format registered in the electronic medical record server.
FIG. 4 is an explanatory diagram showing an embodiment of login information.
FIG. 5 is an explanatory diagram showing an example of items recorded in an electronic medical record change history management server.
FIG. 6 is an explanatory diagram showing an example of a time sequence during operation of an electronic medical record access history management system according to the present invention.
[Explanation of symbols]
1DB medical record database
1R, 1S, 1T Electronic medical record server
2R-5R PC
6R LAN in hospital
7 Electronic medical record change history management server
7DB history database
8 Wide area network

Claims

An electronic medical record server that is installed in a medical facility and stores an electronic medical record that includes medical information about the patient;
When a new electronic medical record is registered in this electronic medical record server, or when referring to an electronic medical record already stored in this electronic medical record server and / or the description content of the electronic medical record is changed, a notification to that effect is sent to the wide area network And an electronic medical record change history management server installed outside the medical facility for sequentially recording the received and notified information.

2. The electronic medical record access history management system according to claim 1, further comprising connection confirmation means for confirming a connection state between the electronic medical record server and the electronic medical record change history management server.

The electronic medical record access history according to any one of claims 1 and 2, wherein the electronic medical record change history management server holds difference data when the description content of the electronic medical record is changed. Management system.

In an electronic medical record server that is installed in a medical facility and stores electronic medical records containing medical information about patients,
Operation means for changing the description of the electronic medical record;
When the description content of the electronic medical record is changed by the operation means, the transmission means includes a transmission means for transmitting information on the change to the electronic medical record change history management server outside the medical facility via the wide area network. An electronic medical record server.

An electronic medical record change history management server installed outside the medical facility,
A receiving means for receiving information on changes in the electronic medical record sent from the electronic medical record server in the medical facility via the wide area network;
A database for storing information about the changes;
Search means for searching for information relating to the change stored in the database in response to a reference request sent via the wide area network;
An electronic medical record change history management server comprising: transmission means for transmitting a search result by the search means to the electronic medical record server or a reference terminal via the wide area network.